[논문 리뷰] A Framework For Fully-Simulatable $h$-Out-Of-$n$ Oblivious Transfer

Bing Zeng, Xueming Tang외 1명|arXiv (Cornell University)|2010. 05. 01.

Cryptography and Data Security참고 문헌 48인용 수 5

한 줄 요약

이 논문은 평탄한 모델에서 비적대적 악성 공격자에 대해 안전한 완전 시뮬러터 가능한 $h$-out-of-$n$ 무관심 전송(OT$^n_h$)을 위한 새로운 프레임워크를 제안한다. 이 프레임워크는 정확히 바인딩되는 기여, 정확히 숨겨지는 기여, 그리고 새로운 스무스 프로젝티브 해시를 사용한다. 프로토콜은 여섯 번의 통신 라운드를 거치며, 최대 $40n$회의 공개키 연산을 수행한다. 결정적 디피-헬먼(DDH) 가정 하에서 가장 효율적인 인스턴스가 가능하며, 양자에 대한 저항성을 제공하는 새로운 격자 기반 인스턴스도 제공한다.

ABSTRACT

We present a framework for fully-simulatable $h$-out-of-$n$ oblivious transfer ($OT^{n}_{h}$) with security against non-adaptive malicious adversaries. The framework costs six communication rounds and costs at most $40n$ public-key operations in computational overhead. Compared with the known protocols for fully-simulatable oblivious transfer that works in the plain mode (where there is no trusted common reference string available) and proven to be secure under standard model (where there is no random oracle available), the instantiation based on the decisional Diffie-Hellman assumption of the framework is the most efficient one, no matter seen from communication rounds or computational overhead. Our framework uses three abstract tools, i.e., perfectly binding commitment, perfectly hiding commitment and our new smooth projective hash. This allows a simple and intuitive understanding of its security. We instantiate the new smooth projective hash under the lattice assumption, the decisional Diffie-Hellman assumption, the decisional $N$-th residuosity assumption, the decisional quadratic residuosity assumption. This indeed shows that the folklore that it is technically difficult to instantiate the projective hash framework under the lattice assumption is not true. What's more, by using this lattice-based hash and lattice-based commitment scheme, we gain a concrete protocol for $OT^{n}_{h}$ which is secure against quantum algorithms.

연구 동기 및 목표

• 평탄한 모델에서 비적대적 악성 공격자에 대해 안전한 완전 시뮬러터 가능한 $h$-out-of-$n$ 무관심 전송 프로토콜을 설계한다.
• 이전의 완전 시뮬러터 가능한 프로토콜에 비해 계산 및 통신 오버헤드를 줄이며, 특히 통신 단계 수와 공개키 연산 수 측면에서 개선한다.
• 스무스 프로젝티브 해시 프레임워크가 격자 기반 가정 하에서 효율적으로 인스턴스화될 수 있음을 보여주며, 이러한 인스턴스화가 기술적으로 불가능하다는 통념을 뒤집는다.
• 격자 기반 원리들을 활용하여 양자 공격자에 대해 안전한 무관심 전송 프로토콜을 제공함으로써 양자 저항성을 확보한다.
• 기존의 $OT^2_1$ 구조를 통합하고 일반화하여 일반적인 $h$-out-of-$n$ 환경에 대해 확장 가능한 강력한 시뮬레이션 기반 보안을 제공하는 프레임워크를 만든다.

제안 방법

• 프레임워크는 정확히 바인딩되는 기여, 정확히 숨겨지는 기여, 그리고 새로 제안된 스무스 프로젝티브 해시(SPH)라는 세 가지 추상 원리를 사용하여 프로토콜을 안전하게 구성한다.
• SPH는 DDH, DNR(결정적 $N$-제곱 잔여물성), DQR(결정적 제곱 잔여물성), 그리고 격자 기반 가정 등 다양한 가정 하에서 인스턴스화된다.
• 프로토콜은 컷-체즈 기법과 지식의 제로 지식 증명을 사용하여 실세계/이상세계 모델 프레임워크에서의 타당성과 시뮬레이션 보안을 확보한다.
• 송신자는 정확히 바인딩되는 기여를 통해 메시지를 기여하고, 수신자는 비밀 인덱스 집합을 사용하여 SPH 메커니즘을 통해 해당 메시지를 추출한다.
• 시뮬레이터는 SPH의 투영 및 숨겨짐 성질을 활용하여 이상세계에서 송신자 및 수신자 상호작용을 시뮬레이션함으로써 완전한 시뮬레이터성을 확보한다.
• 프로토콜은 여섯 번의 통신 라운드를 갖도록 설계되어 라운드 복잡도를 최소화하면서도 표준 가정 하에서 강력한 보안 보장을 유지한다.

실험 결과

연구 질문

• RQ1 평탄한 모델에서 최소한의 통신 단계 수와 낮은 계산 오버헤드를 갖는 완전 시뮬러터 가능한 $h$-out-of-$n$ 무관심 전송 프로토콜을 구성할 수 있는가?
• RQ2 격자 기반 가정 하에서 스무스 프로젝티브 해시 프레임워크를 인스턴스화하는 것은 기술적으로 가능한가? 이는 널리 퍼진 통념과는 정반대이다.
• RQ3 제안된 프레임워크가 격자 기반 원리를 활용함으로써 양자 저항성을 확보하면서도 완전한 시뮬레이터성을 유지할 수 있는가?
• RQ4 기존의 완전 시뮬러터 가능한 프로토콜과 비교했을 때, 새로운 프레임워크의 효율성(라운드 수 및 공개키 연산 수 기준)은 어떠한가?
• RQ5 표준 가정(DDH, DNR, DQR, 격자 기반) 하에서 프레임워크를 일반적으로 인스턴스화할 수 있으며, 보안성과 효율성을 유지할 수 있는가?

주요 결과

• 프레임워크는 여섯 번의 통신 라운드와 최대 $40n$회의 공개키 연산을 달성하여, 평탄한 모델에서 알려진 가장 효율적인 완전 시뮬러터 가능한 $OT^n_h$ 프로토콜이 되었다.
• 결정적 디피-헬먼(DDH) 가정 하에서의 인스턴스는 알려진 완전 시뮬러터 가능한 프로토콜들 중에서 통신 및 계산 비용 측면에서 가장 효율적이다.
• 논문은 격자 기반 스무스 프로젝티브 해시 시스템을 성공적으로 구축하여, 격자 기반 SPH 인스턴스화가 기술적으로 불가능하다는 통념이 잘못되었음을 입증했다.
• 격자 기반 인스턴스는 양자 공격자에 대해 안전한 구체적인 $OT^n_h$ 프로토콜을 제공하며, 양자 이후 보안을 보장한다.
• 프레임워크는 실세계/이상세계 모델 프레임워크 하에서 완전한 시뮬레이터성을 지원하여, 모든 적대적 및 비적대적 악성 공격에 대해 보안을 확보한다.
• 프로토콜의 보안성은 표준 가정(랜덤 오라클이나 $q$-강력한 DDH와 같은 비표준 가정 없이) 하에 증명되었으며, 이는 실용성과 신뢰성을 향상시킨다.